TECHNISCHE UND ORGANISATORISCHE MAßNAHMEN

  1. Vertraulichkeit gem. Art. 32 Abs. 1 lit. b DSGVO
  2. Pseudonymisierung gem. Art. 32 Abs. 1 lit. a DSGVO und Art. 25 Abs. 1 DSGVO
  3. Integrität gem. Art. 32 Abs. 1 lit. b DSGVO
  4. Verfügbarkeit und Belastbarkeit gem. Art. 32 Abs. 1 lit. b DSGVO
  5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gem. Art. 32 Abs. 1 lit. d DSGVO und Art. 25 Abs. 1 DSGVO

1 Vertraulichkeit gem. Art. 32 Abs. 1 lit. b DSGVO

  • Zutrittskontrolle:
    • Individuelle, dokumentierte und rollenabhängige Zutrittsberechtigungen (Karten, Transponder und Schlüssel)
    • Bürogebäude werden je nach Arbeitszeit entweder am Empfang besetzt oder durch einen Sicherheitsdienst überwacht. 
    • Rechenzentren gelten als eine separate Sicherheitszone. Diese werden zusätzlich mit weiteren Zutrittsmaßnahmen geschützt, z.B.: 
      • Überwachung durch Videokameras
      • Weitere Authentifzierungsfaktoren für Zutritt in die Gebäude
    • Besucher dürfen sich grundsätzlich nur in Begleitung eines Mitarbeiter im Gebäude aufhalten
    • Alarm- und Einbruchmeldeanlage
    • Büroräume sind außerhalb der Arbeitszeit verschlossen
  • Zugangskontrolle:
    • Formale Benutzer- und Berechtigungsverfahren
    • Fernzugriff auf produktive Kundensysteme ist nur mit VPN und Mehrfaktor-Authentifizierung möglich.  
    • Benutzte Passwörter müssen entsprechende Komplexität aufweisen und sicher gespeichert (z.B. in einem Passwort-Safe) werden. All Default-Passwörter sind unverzüglich zu ändern. 
    • Datenträger auf mobilen Firmengeräten sind mit angemessenen Verfahren verschlüsselt. 
    • Ausgedruckte Dokumente mit personenbezogenen Daten werden geschreddert. 
    • Automatische Sperre von Desktops nach wenigen Minuten Inaktivität
    • Clean Desk-Policy
  • Zugriffskontrolle:
    • Zugriffsrechte auf sensitive Systeme und Daten werden nach dem "Need to know"-Prinzip vergeben, protokolliert und je nach Kritikalität des Systems periodisch überprüft
    • Trennung von Anwendungs- und AdministrationszugängenProtokollierung von Zugriffsversuchen
    • Nutzung kryptografischer Verfahren
  • Trennungskontrolle:
    • Produktive und nicht produktive Systeme sind voneinander grundsätzlich mit Firewalls getrennt
    • Büronetzwerke und Rechenzentren-Netzwerke sind voneinander ebenfalls mit Firewalls getrennt
    • Trennung von Entwicklungs-, Test- und Produktivumgebung
    • Personenbezogene Daten dürfen nicht für Testzwecke verwendet werden
    • Mandantenfähigkeit / logische Trennung von Daten bei relevanten Anwendungen
      • Separate Datenbanken
      • Schema-Trennung in Datenbanken
      • Berechtigungskonzepte und/oder strukturierte Dateiablage

2 Pseudonymisierung gem. Art. 32 Abs. 1 lit. a DSGVO und Art. 25 Abs. 1 DSGVO

  • Sofern möglich oder erforderlich werden personenbezogene Daten pseudonymisiert verarbeitet (Trennung der Zuordnungsdaten und Aufbewahrung in getrenntem System)

3 Integrität gem. Art. 32 Abs. 1 lit. b DSGVO

  • Weitergabekontrolle: 
    • Sensitive Daten außerhalb von grenzen von Rechenzentren werden ausschließlich verschlüsselt übertragen
    • Fernzugriff für administrative Tätigkeiten erfolgt ausschließlich über verschlüsselte Kanäle. 
    • Personenbezogene Daten werden nach ihrem Schutzbedarf klassifiziert, wobei vertrauliche Daten nur über sichere Kommunikationswege übertragen werden dürfen
    • Wo möglich wird E-Mailverschlüsselung eingesetzt
    • Dokumentation der Weitergabe von physischen Speichermedien
    • Weitergabe von Papierdokumenten mit personenbezogenen Daten in einem verschlossenen und undurchsichtigen Umschlag
  • Eingabekontrolle:
    • Administrative Zugriffe auf Produktionsservern mit Kundendaten werden protokolliert. 
    • Wo möglich Protokollierung von Eingabe, Änderung und Löschung von Benutzerdaten durch individuelle Mitarbeiter
    • Wo möglich nachvollziehbare von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
    • Protokollieren von administrativen Änderungen

4 Verfügbarkeit und Belastbarkeit gem. Art. 32 Abs. 1 lit. b DSGVO

  • Rechenzentren verfügen über einen automatisierten Brandschutz
  • Innerhalb von allen Gebäuden gilt Rauchverbot
  • Beim Ausfall von Stromversorgung werden alternative Mittel (UPS, Stromgeneratoren) eingesetzt
  • Kritische personenbezogene Daten werden auf separate Systeme gesichert
  • Kritische Systeme sind georedundant aufgestellt
  • Für Notfallsituationen sind Notfallpläne definiert, die regelmäßig aktualisiert werden 
  • Geräte mit einer hohen Ansteckungsgefahr verfügen über Virenschutz
  • Produktive Systeme werden regelmäßig gepatcht
  • Intrusion Detection Systeme
  • Wo notwendig Nutzung redundanter Systeme
  • Regelmäßige Tests von Datensicherungen
  • Externe Audits und Sicherheitstest

5 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gem. Art. 32 Abs. 1 lit. d DSGVO und Art. 25 Abs. 1 DSGVO

  • Datenschutz-Management;
    • Datenschutzbeauftragte und ein Informationssicherheitsbeauftragter sind benannt
    • Mitarbeiter sind im Umgang mit personenbezogenen Daten sensibilisiert
    • Neue Mitarbeiter erhalten Informationsmaterial bezüglich des Umgangs mit personenbezogenen Daten
    • Ein Verzeichnis von Verarbeitungstätigkeiten wird gepflegt und Datenschutzfolgenabschätzungen werden bei Bedarf durchgeführt
    • Prozesse zur Wahrnehmung von Betroffenenrechten sind etabliert
  • Incident-Response-Management;
    • Im Rahmen eines formellen Prozesses werden:
      • Verdächtige Events mittels unterschiedlichen manuellen und automatisierten Vorgängen identifiziert und dokumentiert
      • Diese werden dann durch geschultes Personal klassifiziert und evaluiert
      • Falls ein Sicherheitsvorfall bestätigt wird, werden entsprechend der Severity des Inzidents relevante Stakholder informiert und Response-Maßnahmen je nach Art des Vorfalls eingeleitet
  • Datenschutzfreundliche Voreinstellungen
    • Es wird prozessual sichergestellt, dass Systeme und Produkte datenschutzfreundlich entwickeln werden
    • Es werden nur diejenigen personenbezogenen Daten erhoben, die für die jeweiligen Zweck erforderlich sind
  • Auftragskontrolle.
    • Wie im AV-Vertrag geregelt

Nach oben